Mönsterkryptering: Hur att rita en form skyddar dina filer

Vaultaire serialiserar en form ritad på ett 5×5 rutnät och bearbetar den med PBKDF2-HMAC-SHA512, 600 000 iterationer och ett enhetsomfattande salt lagrat i iOS Keychain. 256-bitarsresultatet är en valvnyckel: den krypterar valvindexet och packar upp den separata slumpmässiga huvudnyckel som AES-256-GCM använder för filinnehåll och metadata.

Vad är Mönsterkryptering?

De flesta valvappar gömmer sig bakom en PIN-kod eller ett lösenord. Du skriver in fyra siffror och dina bilder visas. Låter säkert nog, eller hur?

Här är problemet: en fyrsiffrig PIN-kod har exakt 10 000 möjliga kombinationer. En dator kan prova varenda en på under en sekund. Sex siffror? En miljon kombinationer. Fortfarande trivialt snabb för modern hårdvara. Till och med ett lösenord på åtta tecken, om det bara använder små bokstäver, ger dig cirka 200 miljarder möjligheter. Det låter mycket tills du lär dig att en vanlig bärbar dator kan testa miljarder lösenords-hashar per sekund.

Mönsterkryptering har ett fundamentalt annorlunda tillvägagångssätt. Istället för att skriva tecken i en ruta ritar du en geometrisk form över ett rutnät av punkter. Den specifika vägen du spårar - vilka punkter du rör, i vilken ordning, med vilken geometri - blir indata till en lösenordsbaserad nyckelhärledningsfunktion. Resultatet kontrolleras inte bara av gränssnittet: det måste låsa upp ett autentiserat krypterat index och den slumpmässiga huvudnyckeln inuti det.

Distinktionen spelar roll. När du anger en PIN-kod i vissa appar kontrollerar appen bara om du har skrivit rätt nummer. Om du gjorde det öppnas den, även om filerna kanske skyddas huvudsakligen av åtkomstkontroll. Vaultaire matar istället in det ritade mönstret i PBKDF2 för att härleda en 256-bitars valvnyckel. Den nyckeln måste autentisera och dekryptera valvindexet innan den kan packa upp den slumpmässiga huvudnyckeln som används på filerna. Ett oigenkänt mönster presenteras som ett tomt valv, men den underliggande AES-GCM-autentiseringen skiljer fortfarande en korrekt nyckel från en felaktig.

Hur det fungerar, steg för steg

Här är vad som händer från det ögonblick ditt finger rör vid skärmen till det ögonblick dina filer blir oläsliga för alla andra.

Steg 1: Du ritar ditt mönster

Vaultaire presenterar ett 5×5 rutnät av prickar. Du ritar en kontinuerlig bana som förbinder minst 6 punkter med minst en riktningsändring. Appen registrerar exakt vilka prickar du besökte och i vilken ordning. Denna sekvens är ditt mönster.

Till skillnad från de 3×3-rutnät som vanligtvis används för Android-låsskärmar, använder Vaultaire ett 5×5-rutnät. Detta är inte ett kosmetiskt val. Tjugofem positioner tillåter mycket fler vägar, korsningar, överhopp och riktningsändringar än nio positioner. Det större teoretiska utrymmet hjälper, men den faktiska säkerheten beror fortfarande på oförutsägbarheten i den väg du väljer. En bekant bokstav eller enkel form förblir gissningsbar även när rutnätet kan uttrycka miljarder alternativ.

Steg 2: Mönstret härleder en valvnyckel

Ditt ritade mönster serialiseras med rutnätsstorleken och matas in PBKDF2 (Lösenordsbaserad nyckelhärledningsfunktion 2) med HMAC-SHA512, 600 000 iterationer och ett slumpmässigt enhetsomfattande salt. Saltet är ett icke-hemligt värde som lagras i iOS Keychain som WhenUnlockedThisDeviceOnly-objekt. Det gör den lokala härledningen enhetsbunden; det är inte unikt för varje valv och lägger inte till entropi till ett mänskligt valt mönster.

Nyckelhärledningsprocessen är medvetet dyr. PBKDF2 kör 600 000 HMAC-SHA512-iterationer för varje kandidatmönster, vilket höjer kostnaden för en gissningsattack. Detta förvandlar inte ett lågentropimönster till 256 bitars säkerhet, och attacktiden beror på angriparens hårdvara. Syftet är snävare och mätbart: göra varje gissning betydligt dyrare än en enkel hash.

Steg 3: Dina filer krypteras

När valvet först skapas genererar Vaultaire en slumpmässig 256-bitars huvudnyckel. Den mönsterhärledda valvnyckeln krypterar indexet och omsluter huvudnyckeln; den krypterar inte varje fil direkt. Huvudnyckeln används med AES-256-GCM för filrubriker, innehåll, miniatyrer och relaterad metadata. Färska nonces säkerställer att upprepad klartext inte producerar upprepad chiffertext under samma nyckel.

GCM-läge lägger till ett viktigt lager: autentisering. Det förvränger inte bara dina data, det genererar också en tagg som upptäcker eventuell manipulering. Om en enda bit av den krypterade filen modifieras kommer dekrypteringen att misslyckas. Ingen kan manipulera dina filer utan att du vet det.

Steg 4: Aktivt nyckeltillstånd rensas

När Vaultaire låses rensar appen sitt aktiva valv- och huvudnyckeltillstånd och kräver en ny upplåsning innan filerna visas igen. Vissa nyckelkopior kan ändå ligga kvar i appens minne efter låsning. Medan valvet är öppet finns de symmetriska nyckelbytena nödvändigtvis i appens process så att CryptoKit kan utföra AES-GCM-operationer. Vaultaire förvarar också återställningsinformation, inklusive mönstret och det fraskrypterade återställningskuvertet, i en AES-GCM-krypterad databas lagrad i iOS Keychain. Det skiljer sig väsentligt från att påstå att mönstret och varje nyckelkopia inte lagras någonstans.

Matematiken bakom det (på ren svenska)

Du behöver ingen datavetenskaplig examen för att förstå varför detta fungerar. Säkerheten kommer ner till tre siffror: hur många mönster som är möjliga, hur lång tid varje gissning tar och hur många gissningar en angripare kan göra.

Entropi: Måttet på oförutsägbarhet

Entropi är ett fint ord för “hur svårt är detta att gissa.” En myntvändning har 1 bit entropi (två utfall). En fyrsiffrig PIN-kod har cirka 13 bitar av entropi (10 000 utfall). Ett mönster med sex punkter och en riktningsändring är en av 11 168 möjliga former, cirka 13 bitar om det väljs slumpmässigt, nära en fyrsiffrig PIN-kod. Människor väljer inte slumpmässigt, så verkliga mönster är lättare att gissa. Längre mönster med flera riktningsändringar är svårare att gissa.

Mönstrets entropi sätter taket för en gissningsattack. PBKDF2 kan inte skapa entropi som gesten inte innehåller, men det kan göra varje kandidat mycket dyrare att testa.

Nyckelhärledning: Att göra gissningar dyrt

PBKDF2 tar det serialiserade mönstret och kör 600 000 omgångar av HMAC-SHA512. Attackuppskattningar måste utgå från en uppmätt kostnad på den hårdvara som gissar: vid exakt 1 ms per komplett kandidat skulle 1 000 000 000 kandidater ta 1 000 000 s, eller cirka 11,6 dagar, på 1 arbetare. En långsammare uppmätt kandidatkostnad ökar den tiden; parallell hårdvara minskar den. Utdatalängden på 256 bitar ändrar inte storleken på mönstersökutrymmet.

Det enhetsomfattande saltet förvaras i Keychain och är inte utformat för att vara hemligt. Keychain och iOS Dataskydd kan göra extraheringen svårare i ett scenario med enhetsbeslag, men den kryptografiska analysen måste anta att en granskare som skaffar de krypterade filerna också kan förvärva saltet. Saltet förhindrar förberäkning över enheter; det är inte en ersättning för ett starkt mönster.

AES-256: En öppen, välstuderad standard

AES-256 är ett starkt, standardiserat chiffer, publicerat av NIST som FIPS 197. “256” hänvisar till nyckellängden i bitar. En 256-bitars nyckel har 2²⁵⁶ möjliga värden, alldeles för många för att prova med råstyrka. En angripare angriper i stället mönstret, och därför förstärker Vaultaire det med 600 000 PBKDF2-iterationer.

Säkerheten för AES-256 är inte beroende av att hålla algoritmen hemlig. Men hela systemet skyddas inte enbart av AES-nyckelutrymmet: den praktiska gissningsgränsen kommer från mönstrets entropi, PBKDF2-arbetsfaktorn och skyddet kring enhetens salt och den krypterade lagringen. AES-256-GCM ger stark autentiserad kryptering när den korrekta slumpmässiga huvudnyckeln har låsts upp.

Vad en attack måste övervinna

Låt oss överväga de huvudsakliga sätten någon kan försöka komma åt dina krypterade filer på, vad Vaultaire gör för att höja kostnaderna och var gränserna kvarstår.

Råstyrka: att prova varje mönster

PBKDF2 får varje mönsterkandidat att betala för 600 000 HMAC-SHA512-iterationer. Det är ett meningsfullt försvar, men inte ett löfte om ett bestämt antal år: resultatet beror på mönsterval, uppmätt härledningshastighet, parallellitet och om granskaren har återvunnit enhetssaltet. Längre, mindre förutsägbara vägar spelar roll eftersom PBKDF2 höjer gissningskostnaden snarare än att skapa ny entropi.

Fläckattacker: att läsa av din skärm

På ett 3×3 rutnät kan fläckmärken på en skärm minska de möjliga mönstren avsevärt. På ett 5×5-rutnät avslöjar fläckmönstret vilka punkter som berördes men inte ordningen, riktningen eller kopplingarna mellan dem. Det större rutnätet gör detta tillvägagångssätt mycket svårare, men inte omöjligt.

Axelsurfing: Ser dig rita

Mönster som ritas snabbt på en liten telefonskärm är extremt svåra att memorera genom observation, särskilt på ett 5×5-rutnät. Forskning visar att observatörer har mycket svårare att replikera komplexa mönster jämfört med att höra en PIN-kod eller ett lösenord som läses upp.

Enhetsbeslag: Tar din telefon

Om någon tar din telefon förblir Vaultaires filinnehåll och index AES-GCM-chiffertext tills de nödvändiga nycklarna är tillgängliga. Appen lagrar inte en vanlig lösenordsverifieringspost, men det tar inte bort offlineverifiering. Filnamnet för varje krypterat valvindex innehåller en lokaliserare som härleds från valvnyckeln, och autentiserad AES-GCM-dekryptering lyckas eller misslyckas också för en kandidatnyckel. Enhetsskydd och mönsterstyrka förblir därför en del av hotmodellen.

Välja ett starkt mönster

Krypteringen är bara så stark som mönstret du väljer. Så här maximerar du din säkerhet med minimal ansträngning.

Vad gör ett mönster starkt

• Använd fler punkter.Anslut minst 8 av de 25 tillgängliga prickarna. Varje ytterligare prick multiplicerar antalet möjliga mönster.
• Korsa din egen väg.Mönster som går tillbaka, hoppar över prickar eller ändrar riktning oväntat är mycket svårare att återskapa från minne eller observation.
• Undvik uppenbara former.Bokstäver (L, Z, S), enkla geometriska former (fyrkanter, trianglar) och raka linjer är det första en angripare skulle prova.
• Använd hela rutnätet.Mönster som stannar i ett hörn eller längs ena kanten slösar bort den tillgängliga entropin. Sprid ut sig.

Vad man bör undvika

• Mönster med minsta längd. Vaultaire kräver minst 6 punkter och en riktningsändring, men att uppfylla miniminivån gör inte en väg oförutsägbar. Använd mer av rutnätet och byt riktning flera gånger när du kan komma ihåg resultatet på ett tillförlitligt sätt.
• Enkla geometriska former.En L-form, en sicksack eller en rak diagonal linje är mönstermotsvarigheterna till “password123.”
• Börjar från samma hörn varje gång.Forskning om Android-låsmönster visar att de flesta börjar från den övre vänstra punkten. Angripare vet detta.

Den rätta balansen

Ett mönster som förbinder 8–12 punkter med flera riktningsändringar är svårare att gissa samtidigt som det är enkelt för dig att komma ihåg genom muskelminnet. Du behöver inte memorera det som ett lösenord, din hand kommer ihåg rörelsen, på samma sätt som den kommer ihåg hur du skriver din signatur.

Varför du ska känna dig säker

Mönsterkryptering i Vaultaire är inte bara en snyggare PIN-kod. Gesten bearbetas av en verklig nyckelhärledningsfunktion och måste låsa upp autentiserad krypterad data. Dess styrka beror fortfarande på vilken gest du väljer, så Vaultaire kombinerar det större rutnätet med en hög PBKDF2-arbetsfaktor istället för att presentera 256-bitars utdatalängd som 256 bitar av mänsklig hemlig entropi.

Ditt mönster och din lokala valvnyckel skickas inte till Vaultaire. När säkerhetskopieringen är på (standard) krypterar en separat mönsterhärledd säkerhetskopieringsnyckel CloudKit-poster och ett krypterat återställningsmanifest låter återställningsfrasen återställa valv- och säkerhetskopieringsnycklarna. Vaultaire har ingen leverantörsnyckel som dekrypterar dessa poster, men enheten och återställningsuppgifterna förblir säkerhetskritiska delar av designen.

Du ritar en form. Den formen skyddar dina filer. Matematiken gör resten.